← Privacy en beveiliging · Addendum oktober 2026
Deze Security Policy beschrijft hoe Deccos de beveiliging van al haar diensten waarborgt. Dit omvat cloud software (SaaS-oplossingen), websites en op maat gemaakte software. Het beleid is van toepassing op alle softwareprojecten die door Deccos worden gebouwd.
Deccos levert verschillende soorten diensten, elk met specifieke beveiligingseisen:
Voor alle diensten maakt Deccos gebruik van Firebase Authentication voor authenticatie. Dit biedt onder andere:
Afhankelijk van het type dienst kan de dataopslag verschillen:
Deccos maakt in sommige diensten gebruik van externe AI-diensten via API’s. Het gebruik van deze AI-functionaliteit gebeurt uitsluitend onder de volgende voorwaarden:
Deccos hanteert voor AI-functionaliteiten een meerlaagse privacybeschermingspipeline. Deze aanpak is ontworpen om te voorkomen dat persoonsgegevens onnodig door AI-modellen worden verwerkt en om het risico op identificeerbaarheid van personen zoveel mogelijk te beperken.
Wanneer audio-opnamen worden verwerkt, worden deze eerst getranscribeerd via een open-source AI-model dat wordt aangeboden via OVHcloud AI Endpoints op Europese infrastructuur.
Deccos heeft bewust gekozen voor OVHcloud vanwege de focus op Europese datasoevereiniteit, verwerking binnen de Europese Unie en het door OVHcloud gehanteerde beleid waarbij invoer- en uitvoergegevens van AI-verzoeken niet worden opgeslagen of gedeeld tijdens of na de verwerking. Hierdoor wordt het risico op ongewenste opslag, hergebruik of modeltraining met klantgegevens geminimaliseerd.
Na transcriptie (of bij rechtstreeks ingevoerde tekst) wordt de inhoud automatisch gecontroleerd op direct identificerende persoonsgegevens. Hierbij worden onder andere e-mailadressen, telefoonnummers, IBAN-nummers, BSN-nummers, postcodes, URL's en andere herkenbare identificatoren gedetecteerd met behulp van geautomatiseerde patroonherkenning (PII-detectie).
Gedetecteerde persoonsgegevens worden verwijderd, vervangen of gemaskeerd voordat verdere AI-verwerking plaatsvindt.
Niet alle persoonsgegevens zijn via vaste patronen te herkennen. Daarom wordt de tekst vervolgens gecontroleerd op indirect identificerende of AVG-gevoelige informatie, zoals persoonsnamen, specifieke situaties, locaties of beschrijvingen die kunnen leiden tot herkenbaarheid van een individu.
Deze controle wordt uitgevoerd met behulp van een open-source AI-model dat draait via OVHcloud op Europese infrastructuur. Waar mogelijk wordt dergelijke informatie automatisch verwijderd, geanonimiseerd of gepseudonimiseerd voordat de gegevens verder worden verwerkt.
Deccos verwerkt uitsluitend gegevens die noodzakelijk zijn voor de gevraagde functionaliteit of analyse. Persoonsgegevens worden waar technisch mogelijk vooraf verwijderd, gepseudonimiseerd of geanonimiseerd voordat gegevens aan AI-modellen worden aangeboden.
Door de combinatie van Europese AI-infrastructuur, automatische detectie van persoonsgegevens, contextuele privacyfiltering en dataminimalisatie wordt het risico op verwerking van identificeerbare persoonsgegevens door AI aanzienlijk beperkt.
Deccos streeft ernaar AI-analyses uitsluitend uit te voeren op gegevens die vooraf zijn geanonimiseerd of gepseudonimiseerd. Hierdoor wordt de privacy van betrokkenen maximaal beschermd, terwijl organisaties gebruik kunnen maken van de voordelen van AI-ondersteunde analyses en rapportages.
Firestore maakt automatisch back-ups van gegevens om te beschermen tegen gegevensverlies. Deccos voert daarnaast dagelijks back-ups uit naar Google Cloud. Elk kwartaal wordt een hersteltest uitgevoerd om de kwaliteit van de back-ups te waarborgen.
De bewaartermijnen voor gebruikersdata verschillen afhankelijk van het type gebruiker en de dienst:
Firebase biedt beveiligingstools en geavanceerde monitoring om beveiligingsincidenten te detecteren. In het geval van een beveiligingsincident informeert Firebase de beheerder (Deccos) over het incident, zodat Deccos geregistreerde gebruikers (zoals admins en leden van online communities of e-learning) kan informeren. Dit omvat onder meer:
Deccos maakt gebruik van Firebase Hosting voor het hosten van webapplicaties. Firebase Hosting biedt de volgende beveiligingsmaatregelen:
Firebase voldoet aan de volgende certificeringen:
Deccos streeft ernaar om nieuwe softwareprojecten en diensten op dezelfde manier te beveiligen. Elk nieuw project wordt geëvalueerd op zijn specifieke beveiligingsbehoeften. De Security Policy wordt indien nodig aangepast om aan de nieuwe eisen van deze software te voldoen.
Versie: oktober 2026
MFA is een keuze. Elke gebruiker kan meervoudige authenticatie met een authenticator-app voor zichzelf aanzetten, en een organisatie kan MFA verplicht stellen voor al haar gebruikers. Voor Deccos-beheerders is MFA altijd verplicht. Waar MFA verplicht is, wordt toegang geweigerd totdat MFA is geactiveerd. Reset-verzoeken worden alleen behandeld na identiteit-check door een tweede kanaal. Bij off-boarding wordt MFA direct ingetrokken.
Data en functies zijn logisch gescheiden per organisatie (tenant). Rollen geven het minimum aan rechten dat nodig is; standaard is toegang geweigerd totdat een expliciete rol dit toestaat (deny-by-default). Toegangsrechten worden bij elke request gecontroleerd op tenant-ID en rol. Toegangsrecensies vinden periodiek plaats en bij rol-wijzigingen (joiner/mover/leaver-proces).
Elke raadpleging en mutatie aan cliëntdossiers wordt gelogd met tijdstip, actor, bron-IP/agent, object-ID en uitgevoerde actie. Logbestanden zijn write-once en worden minimaal 12 maanden bewaard. Logintegriteit wordt geborgd met immutabele opslag en toegangsrestricties. Er zijn alerts op afwijkend gedrag (bijv. massale exports of buiten werktijden).
Dagelijks worden consistente back-ups gemaakt van productiedata. De beoogde herstelpunten- en hersteltijden zijn: RPO maximaal 24 uur, RTO maximaal 24 uur. Kwartaalgewijs wordt een hersteltest uitgevoerd naar een gescheiden omgeving, inclusief herstel van applicatie-configuratie en verificatie van datacompleetheid. Back-upjobs en -retentie worden gemonitord en gefaald herstel leidt tot een incident.
Alle data is versleuteld in rust met industriestandaarden en tijdens transport via TLS (minimaal 1.2). Geheimen zoals API-sleutels en service-credentials worden in een dedicated secrets-opslag beheerd en periodiek geroteerd. HSTS is geactiveerd voor webtoegang. Sleutelbeheer volgt een least-access-model en auditlogs op sleutelgebruik zijn ingeschakeld.
Er is een gedocumenteerd runbook met de stappen: detectie, triage en classificatie, containment, forensische vastlegging, herstel, en notificatie aan de klant. Bij een (mogelijk) datalek worden klanten onverwijld geïnformeerd met de informatie die nodig is om te bepalen of melding aan de AP en betrokkenen vereist is. Na afloop volgt een post-mortem met verbeteracties en planning.
Verwerking van cliëntdata via AI-providers staat server-side standaard uit. Aanvragen die velden met cliëntdata bevatten, worden door middleware geblokkeerd. Uitzonderingen zijn alleen mogelijk na schriftelijke activering door de klant, met passende rechtsgrond en DPIA. In dat geval gelden aanvullende maatregelen zoals dataminimalisatie, pseudonimisering en gescheiden logging.